Przebieg incydentu
Pod koniec grudnia 2025 r. polski sektor energetyki odnawialnej stał się celem skoordynowanego ataku destrukcyjnego. Zgodnie ze Sprawozdaniem Pełnomocnika Rządu ds. Cyberbezpieczeństwa za 2025 r., adwersarze wykorzystali oprogramowanie typu wiper — mające na celu nieodwracalne zniszczenie danych — do ataku na ponad 30 farm wiatrowych i fotowoltaicznych oraz dużą elektrociepłownię. Atak przypisano grupom APT powiązanym ze służbami specjalnymi Federacji Rosyjskiej i Białorusi, działającym w ramach długotrwałej presji hybrydowej na państwo frontowe wschodniej flanki NATO.
Incydent miał charakter systemowy — nie był pojedynczym atakiem na jedną spółkę, lecz zsynchronizowaną operacją wymierzoną w rozproszoną infrastrukturę OZE. Skala (30+ farm wiatrowych i fotowoltaicznych plus elektrociepłownia) oraz wybór sektora (generacja energii w okresie zimowym) świadczą o celu strategicznym: zakłócenie dostaw energii w krytycznym momencie sezonu grzewczego oraz test odporności polskiego miksu energetycznego.
Czym jest atak typu wiper
Wiper to kategoria złośliwego oprogramowania, którego celem nie jest szyfrowanie danych dla okupu (jak w ransomware) ani kradzież informacji (jak w spyware), lecz nieodwracalne zniszczenie danych, systemu plików lub wręcz infrastruktury sprzętowej (firmware). Wipery są charakterystycznym narzędziem działań państwowych o charakterze sabotażowym, ponieważ nie dają ofierze możliwości odzyskania systemu — różnica fundamentalna wobec ransomware, gdzie zapłata okupu (teoretycznie) umożliwia odzyskanie.
| Cecha | Ransomware | Wiper |
|---|---|---|
| Cel | Okup za odszyfrowanie / niepublikowanie danych | Zniszczenie danych lub systemu |
| Sprawca | Zorganizowana cyberprzestępczość, CaaS | Służby specjalne, grupy APT |
| Motywacja | Finansowa | Polityczna, sabotaż, działania hybrydowe |
| Odzyskanie | Kopie zapasowe offline lub okup | Tylko kopie zapasowe offline |
| Czas na reakcję | Od minut do godzin (przed szyfrowaniem) | Często sekundy — wiper działa lawinowo |
Historycznie wipery używane były m.in. w atakach NotPetya (2017, skoordynowany atak na Ukrainę z efektem ubocznym globalnym), Shamoon (2012, Saudi Aramco), a także w serii ataków wymierzonych w ukraińską infrastrukturę po 2022 r. (WhisperGate, HermeticWiper, CaddyWiper). Atak na polskie farmy OZE z grudnia 2025 r. wpisuje się w ten wzorzec: cel państwowy, destrukcja bez żądań, synchronizacja wielu punktów uderzenia.
Wektor: łańcuch dostaw i routery SOHO
Sprawozdanie wskazuje, że najpoważniejsze ataki na infrastrukturę krytyczną w 2025 r. wykorzystywały dwa dominujące wektory: kompromitację łańcucha dostaw (zewnętrzni serwisanci, dostawcy IT/OT) oraz podatne, domowe routery brzegowe (urządzenia SOHO) jako infrastrukturę anonimizacyjną.
- Kompromitacja kontraktora IT/OT — atakujący włamywali się do słabiej zabezpieczonych firm serwisowych obsługujących wiele podmiotów energetycznych; kompromitacja jednego dostawcy dawała dostęp do środowisk dziesiątek klientów jednocześnie.
- Routery SOHO jako węzły anonimizacji — adwersarze przejmowali nieaktualizowane routery domowe i prowadzili z nich ataki, co utrudniało atrybucję; ta technika jest typowa dla grup APT powiązanych z GRU (Sandworm).
- Wykorzystanie zaufanych relacji — atakujący podszywali się pod serwisanta lub wykorzystywali legalne zdalne dostępy (VPN, TeamViewer); brak segmentacji między siecią biurową a OT ułatwiał eskalację.
- Eksploatacja urządzeń brzegowych bez wsparcia — w wielu farmach wiatrowych i fotowoltaicznych działają systemy SCADA oraz urządzenia bez aktywnego wsparcia producenta, co czyni je bezbronnymi wobec znanych podatności.
Konsekwencje systemowe
Bezpośrednie konsekwencje ataku grudniowego nie zostały publicznie ujawnione w pełni (część informacji trafiła do załącznika niejawnego Sprawozdania). Jednak Sprawozdanie wyciąga konsekwencje systemowe istotne dla wszystkich podmiotów sektora energii pod KSC:
- Sektor OZE — dotychczas traktowany jako rozproszony i odporny z definicji — okazał się celem priorytetowym operacji hybrydowych, a rozproszenie geograficzne nie chroni przed skoordynowaną kampanią.
- Krytyczne stają się urządzenia pochodzące od dostawców spoza UE — Sprawozdanie wskazuje ograniczoną możliwość weryfikacji bezpieczeństwa sprzętu OZE importowanego spoza UE jako systemowe ryzyko.
- Odporność fizyczna i cybernetyczna są nierozłączne — doświadczenia z powodzi wrześniowej 2025 r. plus atak grudniowy pokazują, że ciągłość działania musi obejmować zarówno ryzyka klimatyczne, jak i cyfrowe.
- Sprawozdanie rekomenduje utworzenie dedykowanego CSIRT sektora energii (obok planowanego CSIRT Infrastruktura i CSIRT Cyfra), który zapewni reagowanie specjalistyczne na incydenty w OT i SCADA.
Obowiązki sektora energii pod KSC
Sektor energetyki jest wymieniony w załączniku nr 1 do UKSC jako sektor kluczowy. Oznacza to, że operatorzy systemów przesyłowych i dystrybucyjnych, wytwórcy energii (w tym farmy wiatrowe i fotowoltaiczne powyżej progu mocy), operatorzy magazynów energii oraz przedsiębiorstwa ciepłownicze podlegają rygorystycznym wymogom SZBI oraz statusowi podmiotu kluczowego (dla dużych przedsiębiorców) lub ważnego (dla średnich).
- Zarządzanie ryzykiem łańcucha dostaw (art. 8 UKSC) — identyfikacja dostawców krytycznych (produkcja, utrzymanie, serwis SCADA/OT), klauzule bezpieczeństwa w umowach, audyty dostawców, ograniczanie zależności od dostawców wysokiego ryzyka.
- Segmentacja sieci IT/OT — rozdzielenie sieci biurowej od sieci technologicznej (SCADA, PLC, RTU), stosowanie diod danych dla przepływu jednokierunkowego tam, gdzie to możliwe, strefy DMZ dla komunikacji z kontrahentami.
- Plan ciągłości działania i odtwarzania (BCP/DRP) — procedury awaryjne dla utraty systemów SCADA, alternatywne kanały sterowania (ręczne, lokalne), regularne testy odtwarzania, kopie zapasowe konfiguracji urządzeń OT.
- Monitoring OT i detekcja anomalii — systemy klasy IDS/IPS dedykowane dla protokołów przemysłowych (Modbus, IEC 60870-5-104, DNP3), integracja z SOC 24/7.
- Raportowanie incydentów — 24h na zgłoszenie wstępne (incydent poważny), 72h na zgłoszenie szczegółowe do CSIRT właściwego (GOV dla administracji, NASK dla większości OUK, docelowy CSIRT Energia).
- Audyt bezpieczeństwa (art. 15 UKSC) — obowiązkowy dla podmiotów kluczowych co najmniej raz na 3 lata; zakres obejmuje zarówno IT, jak i OT.